Nieuwe hardware voor pfSense

[MikeVanD]

Ik loop al een hele tijd te rommelen met mijn router. Mijn internet neem ik af van Freedom.

Mijn router is een Intel NUC (https://tweakers.net/pric...c11tnhi30l/specificaties/) met daarop pfSense.

Al sinds het begin heb ik regelmatig last van vastlopers. Dat werd zo erg, dat ik meerdere keren per dag de router moest resetten en met wat tweaken heb ik dat tot 1x per 2 à 3 dagen terug kunnen brengen.
Dit blijft irritant, want als ik bij een klant zit, heb ik mijn VPN nodig om bij mijn servers te komen. Als het spulletje weer eens hangt, kan ik dus niks. Tenzij er iemand thuis is om het kregen een schop te geven.

Ik twijfel nu of het aan de cominatie NUC - pfSense kan liggen, want ik hoor van anderen dat zij geen problemen hebben. Echter gebruiken zij niet zo intensief VPN (Wireguard en OpenVPN)
Voor de volledigheid: Wireguard wordt gebruikt door de laptops en telefoons en OpenVPN wordt gebruikt voor de backup (Synology)

De i3 van de NUC is volledig overkill heb ik begrepen, omdat het OS van pfSense daar niet veel mee doet.

Ik ben opzoek gegaan naar andere routers, maar er is weinig te vinden over de performance van VPN op een celeron bijv. Er zijn zat router-barebones, maar daar zie ik door de bomen het bos niet echt. Tientallen apparaten blijken dezelfde hardware te hebben, maar zijn toch weer iets anders.

Zijn er tweakers die ook veel gebruik maken van VPN (Wireguard én OpenVPN) en pfSEnse draaien zonder vastlopers? Dan ben ik erg benieuwd naar de door jullie gebruikte hardware en snelheid van de VPN.

[tjanssen]

Wat is de track record van de NUC? Heb je die al langer in gebruik? Over het algemeen zit pfSense wel in de categorie stabiel zeg maar.....

[Tom Paris]

Wat zijn 'vastlopers'? OS totaal niet meer benaderbaar? Of een service die uitvalt? Wat zeggen de logfiles van pfSense?

Heb je de NUC al getest met bijv. Memtest? Zijn de temperaturen wel goed? SMART uitgelezen?

[MikeVanD]

tjanssen schreef op zaterdag 5 juli 2025 @ 16:33:
Wat is de track record van de NUC? Heb je die al langer in gebruik? Over het algemeen zit pfSense wel in de categorie stabiel zeg maar.....

De NUC draait inmiddels bijna 2 jaar. Heb wat aanpassingen gedaan in pfsense die de stabiliteit wel wat verhoogde, maar kennelijk is de NUC en pfSense geen gelukkig huwelijk.

[tjanssen]

MikeVanD schreef op zaterdag 5 juli 2025 @ 16:54:
[...]

De NUC draait inmiddels bijna 2 jaar. Heb wat aanpassingen gedaan in pfsense die de stabiliteit wel wat verhoogde, maar kennelijk is de NUC en pfSense geen gelukkig huwelijk.

Maar je bedoelt neem aan wel het huwelijk tussen jouw NUC en pfSense, want zoals gezegd is dit eigenlijk nooit een probleem. Zou eens beginnen met een memory test....

[MikeVanD]

Tom Paris schreef op zaterdag 5 juli 2025 @ 16:42:
Wat zijn 'vastlopers'? OS totaal niet meer benaderbaar? Of een service die uitvalt? Wat zeggen de logfiles van pfSense?

Heb je de NUC al getest met bijv. Memtest? Zijn de temperaturen wel goed? SMART uitgelezen?

vastlopen als in totaal geen netwerkverkeer meer. Niet naar binnen, niet naar buiten en niet meer intern. Harde reset is het enige wat er mogelijk is.

pfSense logfiles zeggen er niks over; geen errors of warnings.

[MikeVanD]

tjanssen schreef op zaterdag 5 juli 2025 @ 16:56:
[...]Maar je bedoelt neem aan wel het huwelijk tussen jouw NUC en pfSense, want zoals gezegd is dit eigenlijk nooit een probleem. Zou eens beginnen met een memory test....

Memory test (ubuntu 24.02 boot usb) slaagt zonder problemen. Ook de nvme heeft geen problemen; smart is goed en ook de read / write test

[Ben(V)]

Het is nooit slim om bij problemen zomaar andere hardware te kopen zonder dat je weet wat het probleem is.
"Als je doet wat je deed, krijg je wat je kreeg".

Die NUC is meer dan voldoende om pfsense en Wireguard en OpenVpn te verzorgen, dus daar zit je probleem niet.
Dan blijft de pfsense configuratie, je internet verbinding of eventueel je Lan over.

Trekt je niet gewoon je internet pijp volkomen dicht met bijvoorbeeld downloads of bittorrents?

[EverLast2002]

Ik weet dat een bepaalde generatie Intel nics (i225-V dacht ik) problemen heeft wat resulteert in vastlopers en errors met verbinding.
Ook omdat je meldt dat het vanaf het begin aan problemen geeft.
Misschien eens kijken of er bios updates of fixes voor zijn, als dit model in jouw NUC zit.

[djmuggs]

Al eens OPNSense als alternatief geprobeerd?
Dit wijkt niet erg af van je gewend bent en is intussen aardig volwassen kwa product.

Als je wat anders wilt proberen, neem iets van Mikrotik, dan heb je onder de 100 euro al een router die 1Gbit/s kan en voor vpn wireguard gebruikt.
Hier met Mikrotik van Ziggo coax naar Freedom DSL gegaan om daarna over te gaan op 1 Gbit/s fiber.
Moest alleen even netwerk interface aanpassen en werkte meteen.
Draait nu toch al 5 jaar zonder issues.

[MikeVanD]

Ben(V) schreef op zaterdag 5 juli 2025 @ 18:28:
Het is nooit slim om bij problemen zomaar andere hardware te kopen zonder dat je weet wat het probleem is.
"Als je doet wat je deed, krijg je wat je kreeg".

Gelul. Tenzij ik dezelde NUC zou weer kopen

Die NUC is meer dan voldoende om pfsense en Wireguard en OpenVpn te verzorgen, dus daar zit je probleem niet.

Dat heb ik ook niet gezegd

Dan blijft de pfsense configuratie, je internet verbinding of eventueel je Lan over.

of de hardware

Trekt je niet gewoon je internet pijp volkomen dicht met bijvoorbeeld downloads of bittorrents?

Welke router heeft een harde reset nodig wanneer je veel data over de lijn haalt? Ik ken er niet 1.

[MikeVanD]

EverLast2002 schreef op zaterdag 5 juli 2025 @ 20:39:
Ik weet dat een bepaalde generatie Intel nics (i225-V dacht ik) problemen heeft wat resulteert in vastlopers en errors met verbinding.
Ook omdat je meldt dat het vanaf het begin aan problemen geeft.
Misschien eens kijken of er bios updates of fixes voor zijn, als dit model in jouw NUC zit.

Dank! Dat is een goeie om na te zoeken!

[MikeVanD]

djmuggs schreef op zaterdag 5 juli 2025 @ 20:52:
Al eens OPNSense als alternatief geprobeerd?
Dit wijkt niet erg af van je gewend bent en is intussen aardig volwassen kwa product.

Als je wat anders wilt proberen, neem iets van Mikrotik, dan heb je onder de 100 euro al een router die 1Gbit/s kan en voor vpn wireguard gebruikt.
Hier met Mikrotik van Ziggo coax naar Freedom DSL gegaan om daarna over te gaan op 1 Gbit/s fiber.
Moest alleen even netwerk interface aanpassen en werkte meteen.
Draait nu toch al 5 jaar zonder issues.

Ja en nee. Ik heb het wel eens geïnstalleerd in een virutal box om eens te kijken wat het is, maar zal dan toch een extra barebone oid moeten aanschaffen om het een keertje uit te wisselen. Ik kan vanwege mijn werk niet langere tijd zonder de verbinding in de lucht te hebben.

Mijn ervaring met pro-sumer routers is, dat de VPN snelheid te laag is, omdat de hardware gewoon iet sneller kan. Dat is het voordeel van deze NUC; er zit hardware (de)codering in en dat werkt als een trein.

[nelizmastr]

EverLast2002 schreef op zaterdag 5 juli 2025 @ 20:39:
Ik weet dat een bepaalde generatie Intel nics (i225-V dacht ik) problemen heeft wat resulteert in vastlopers en errors met verbinding.
Ook omdat je meldt dat het vanaf het begin aan problemen geeft.
Misschien eens kijken of er bios updates of fixes voor zijn, als dit model in jouw NUC zit.

De i225-V en i226-V zijn inderdaad eersteklas zooi van Intel. De firmware van die chipsets is zo brak dat ik er geen service op zou durven hosten. Heb er ook veel rare issues mee gehad en ze uit de betr. systemen getrokken waar mogelijk en een andere NIC geplaatst.

Gek genoeg heb ik de Realtek tegenhanger wel voor services in gebruik en daar zitten apparaten tussen met uptime van >3mnd.

Gigabit controllers zijn stabieler en anders moet je mikken op Intel 10G of Realtek 2,5/5G.

[ Voor 7% gewijzigd door nelizmastr op 06-07-2025 21:38 ]

[_JGC_]

De i226V is de 4e revisie van de i225V en is gewoon stabiel. De eerste 3 revisies van de 225V waren idd ruk, vandaar dat ze het een nummertje hebben opgehoogd.

Ik heb hier zo'n topton N100 kastje met 4 van die 226V NICs draaien, dat draait gewoon 24/7 stabiel met Proxmox en pfSense (sinds 2 weken OPNsense) en PCI-e passthrough.

[MikeVanD]

In mijn NUC zit een i225-LM en wat ik er over vind, is niet veel beter dan de i225-V

@_JGC_ is in jouw beleving de VPN snelheid ook voldoende om over te backuppen en grotere bestanden (tot ong. 5Gb) te verplaatsen, zonder enorme wachttijden of time-outs?
Edit: Topton kan ik alleen bij ali vinden. Zijn ze ook in NL te verkrijgen of een kwalitatief vergelijkbaar product?

[ Voor 18% gewijzigd door MikeVanD op 07-07-2025 10:45 ]

[_JGC_]

MikeVanD schreef op maandag 7 juli 2025 @ 09:31:
In mijn NUC zit een i225-LM en wat ik er over vind, is niet veel beter dan de i225-V

@_JGC_ is in jouw beleving de VPN snelheid ook voldoende om over te backuppen en grotere bestanden (tot ong. 5Gb) te verplaatsen, zonder enorme wachttijden of time-outs?

225LM is een 225V met Intel Active Management. Zelfde bugs. Er zijn firmware updates voor deze NICs die ze minder snel laten ophangen. Waarschijnlijk heb je nu gewoon last van TX Unit hangs en valt de NUC daardoor steeds van het netwerk af.

Die N100 heeft AES-NI en trekt fatsoenlijke snelheden over een VPN. Moet je wel de juiste ciphers gebruiken (AES-GCM, geen AES-CBC).

[MasterL]

Wellicht zit iedereen op het juiste spoor met de Intel chipset maar dit is toch zo uit te sluiten?
Zoals @Tom Paris IMO duidelijk opmerkt wat zijn vastlopers?
Kun je nog in de GUI/CLI (monitor, en keyboard eraan hangen) op het moment dat er geen traffic meer is?
Vanaf daar kan je dan verder troubleshooten en/of conclusies trekken.

@MikeVanD ik vind je redelijk vel in het verdedigen van jouw oplossing maar als je hiervan afhankelijk bent professioneel/financieel zou ik toch echt andere keuzes gaan maken. Dus wat is de intentie nou?
1: Koste wat het kost PFsense behouden met de huidige hardware en het probleem troubleshooten?
2: Koste wat het kost PFsense behouden met andere hardware waar je advies over wil?
3: Weg van PFsense en sta je open voor andere alternatieven?

En dan nog wat zijn je eisen? Hoeveel Mbps/PPS met welk protocol?
Als ik het zo lees gebruik je het protocol met de meeste overhead (OpenVPN) voor de meest bandwidth intensieve toepassing (backups). Dan weten wij nog niet eens of dit TCP of UDP is.

Lang verhaal kort wat verwacht je van dit topic welke oplossing zoek je?

[MikeVanD]

_JGC_ schreef op maandag 7 juli 2025 @ 11:29:
[...]

225LM is een 225V met Intel Active Management. Zelfde bugs. Er zijn firmware updates voor deze NICs die ze minder snel laten ophangen. Waarschijnlijk heb je nu gewoon last van TX Unit hangs en valt de NUC daardoor steeds van het netwerk af.

Dat vermoedde ik al idd. De laatste bios zit er op en ik ben nog aan het zoeken of er updates voor zijn in freebsd

Die N100 heeft AES-NI en trekt fatsoenlijke snelheden over een VPN. Moet je wel de juiste ciphers gebruiken (AES-GCM, geen AES-CBC).

yup, gebruik nu ook AES-GCM ivm de hardware ondersteuning op de processor.

[MikeVanD]

MasterL schreef op maandag 7 juli 2025 @ 11:53:
Wellicht zit iedereen op het juiste spoor met de Intel chipset maar dit is toch zo uit te sluiten?
Zoals @Tom Paris IMO duidelijk opmerkt wat zijn vastlopers?

Die vraag heb ik volgens mij beantwoord. Vastlopers zijn dat de hele router hangt. Geen verkeer er in of er uit en ook intern niks. Enige mogelijkheid is een harde reset.

Kun je nog in de GUI/CLI (monitor, en keyboard eraan hangen) op het moment dat er geen traffic meer is?
Vanaf daar kan je dan verder troubleshooten en/of conclusies trekken.

Ik kan beide aansluiten en ik zie het standaard scherm (menu) en verder kan ik niks. Geen reactie op het toetsenbord, niks noppes nada.

@MikeVanD ik vind je redelijk vel in het verdedigen van jouw oplossing

Het enige waar ik fel op reageerde was de opmerking van Ben. Voor de rest heb ik nergens fel gereageerd.
Ik begrijp niet goed dat je zegt dat ik mijn oplossing fel verdedig. Als dat zo zou zijn, dan zou ik toch ook geen andere hardware willen?
Ik vind pfSense prettig werken en heb er aardig wat tijd gestoken. Alternatieven zijn prima, maar is niet gelijk het eerste waar ik op inspring.

maar als je hiervan afhankelijk bent professioneel/financieel zou ik toch echt andere keuzes gaan maken.

Dat heb ik in het verleden al gedaan, met zeer teleurstellende resultaten. Degenen die wel presteerden zijn te duur. Met pfSense en de juiste hardware kan ik hetzelfde (en meer) bereiken dan een professionele router van €10+k

Dus wat is de intentie nou?

Simpel: een werkende situatie met bij voorkeur pfSense.

1: Koste wat het kost PFsense behouden met de huidige hardware en het probleem troubleshooten?

Als de oplossing simpel zou zijn, graag! Maar ben hier al een hele tijd mee bezig en het gaat niet weg.

2: Koste wat het kost PFsense behouden met andere hardware waar je advies over wil?

Als je een alternatief hebt sta ik daar zeker voor open, maar vanwege de tijd die ik er in gestoken heb en de werkende configuratie die ik nu heb, heeft pfSense de voorkeur.

3: Weg van PFsense en sta je open voor andere alternatieven?

Zeker! Mits de snelheid er is, ik geen weken kwijt ben om het in te richten en het geen duizenden euro's kost.

En dan nog wat zijn je eisen? Hoeveel Mbps/PPS met welk protocol?
Als ik het zo lees gebruik je het protocol met de meeste overhead (OpenVPN) voor de meest bandwidth intensieve toepassing (backups). Dan weten wij nog niet eens of dit TCP of UDP is.

Tja, OpenVPN (via TCP) is helaas niet mijn keuze, maar is het enige wat eigenlijk foutloos werkt voor de backups (rsync). Het alternatief is IPSec, maar dat haperde regelmatig met incomplete backups tot gevolg.

Voor de dagelijkse verbinding gebruik ik WireGuard omdat dat veel sneller werkt en nauwelijks vertraging heeft.

Mbps/PPS zegt mij niet zo veel. Ik heb regelmatig grote bestanden (5Gb) die ik over moet sturen (heen en terug) en als ik daar een uur op moet wachten, is het geen alternatief. Dat moet binnen enkele minuten kunnen, zoals nu. Of dat bijv. 5 of 6 minuten is maakt niet uit; zolang het maar niet richting een kwartier gaat.

Lang verhaal kort wat verwacht je van dit topic welke oplossing zoek je?

Precies wat ik in de titel vraag ;-) Maar als er betere alternatieven zijn, wil ik daar ook zeker naar kijken. Wellicht niet gelijk voor nu, maar als vervanging richting het eind van het jaar. Stabiliteit is belangrijk, maar moet er ook makkelijk mutaties in kunnen aanbrengen, dus zal er tijd in moeten steken om dat ook te kunnen.

Ik heb het afgelopen jaar gekeken naar OPNsense en OpenWRT, maar beide niet in een live omgeving. OPNsense is vergelijkbaar met pfSense, maar helaas niet uitwisselbaar. Ik had wat problemen met OpenWRT en VLANs en heb het toen maar gelaten. Verder heb ik routers van Draytek en Cisco getest, maar dat was niet wat ik zocht.

[MasterL]

Het is geen aanval begrijp me niet verkeerd maar een network ingenieur kan hier niks mee.
Je praat over routers van 10K+ daar ben ik echt niet van onder de indruk want routers in die prijs categorie zijn helemaal niet ontworpen voor jouw toepassing. Dat is hetzelfde als je zegt een vrachtwagen van 300k is te traag op de Nordschleife of een Ferrari kan mijn lading van 30 ton niet vervoeren.

Mijn vraag is simpel, wat zijn je eisen? Welk protocol, welke throughput, welke PPS, wat zijn je redundancy wensen? Misschien wil je aan de slag met VRRP/CARP? en/of de performance in de huidige situatie is oké maar instabiel?

[MikeVanD]

@MasterL Ik ben het niet helemaal met je eens, want die cisco zou bij uitstek geschikt zijn voor meerdere VPN-verbindingen op hoge snelheid. Mijn NUC en pfSense bleken sneller.

In je tweede alinea gaat het mis. Ik heb werkelijk geen idee waar je het over hebt :-)
Mijn pfSense heeft een aantal VLANs, Wireguard VPN voor mijn 2 laptops en mijn telefoon, OpenVPN voor de backups. Een handvol firewall-regels om bepaalde zaken te sturen en te blokkeren. En tot slot een ad-blocker.

Prio 1 is stabiliteit 24/7. Prio 2 is snelheid met name op beide VPN protocollen. Prio 3 is dat je zonder abonnement en zonder meerdaagse cursussen alles kunt instellen.

Snelheid met Wireguard nu is 185Mbps upload / 167Mbps download. OpenVPN haalt 120Mbps. Beide is voldoende. Sneller mag altijd :-)

[Tom Paris]

nelizmastr schreef op zondag 6 juli 2025 @ 21:37:
[...]


De i225-V en i226-V zijn inderdaad eersteklas zooi van Intel. De firmware van die chipsets is zo brak dat ik er geen service op zou durven hosten. Heb er ook veel rare issues mee gehad en ze uit de betr. systemen getrokken waar mogelijk en een andere NIC geplaatst.

Dit is ernstig overdreven. i225 B1 en B2 hadden inderdaad issues, B3 heeft die issues opgelost. i226 is in principe een rebrand van de i225 B3. De NUC zou nieuw genoeg moeten zijn voor de B3 revisie, maar met pciconf -lv is te achterhalen welke revisie er in zit.

[MikeVanD]

Gelijk even gedaan; dit is de uitkomst.
Lijkt idd rev, 3 te zijn?

code:

igc0@pci0:88:0:0:       class=0x020000 rev=0x03 hdr=0x00 vendor=0x8086 device=0x              15f2 subvendor=0x8086 subdevice=0x3002
    vendor     = 'Intel Corporation'
    device     = 'Ethernet Controller I225-LM'
    class      = network
    subclass   = ethernet

igc1@pci0:89:0:0:       class=0x020000 rev=0x03 hdr=0x00 vendor=0x8086 device=0x              15f2 subvendor=0x8086 subdevice=0x0000
    vendor     = 'Intel Corporation'
    device     = 'Ethernet Controller I225-LM'
    class      = network
    subclass   = ethernet

[MasterL]

Heb je een mogelijkheid om te monitoren met SNMP o.i.d?
Wat traffic, CPU load, mem usage, temps e.d. zou wel handig zijn wellicht bij het troubleshooten.

[ninjazx9r98]

MikeVanD schreef op maandag 7 juli 2025 @ 12:51:
[...]

Ik kan beide aansluiten en ik zie het standaard scherm (menu) en verder kan ik niks. Geen reactie op het toetsenbord, niks noppes nada.

Geboot met aangesloten toetsenbord of later ingeprikt? Jaar of wat geleden had ik wat issues met Opnsense en kon ik het toetsenbord niet gebruiken als ik dat inprikte als het systeem al geboot was.

[MikeVanD]

@MasterL Ik zie dat het een optie is in pfSense, dus daar zal ik even in moeten duiken hoe dat ik ga instellen.

Wat ik zie op het dashboard als ik extern aan het werk ben is:

code:

- CPU: 3% - 11%
- temperatuur: 37°C - 58°C
- traffic peak: 11 MB/s / 8 MB/s
- memory: 11%
- mbuf: 1%
- swap: 0%

[MikeVanD]

ninjazx9r98 schreef op dinsdag 8 juli 2025 @ 09:04:
[...]Geboot met aangesloten toetsenbord of later ingeprikt? Jaar of wat geleden had ik wat issues met Opnsense en kon ik het toetsenbord niet gebruiken als ik dat inprikte als het systeem al geboot was.

De dongle zit in de NUC, maar het toetsenbord zelf ligt in de kast er naast staat uit.
Als ik het toetsenbord aanzet als het allemaal wel werkt, werkt het zonder probleem, maar zal het toetsenbord straks aan zetten en aan laten. Eens kijken of het verschil maakt.

[MasterL]

Wat ik eigenlijk bedoel is om historie bij te houden, ik ga ervanuit dat de NUC echt "vastloopt" dus geen GUI/netwerk/niks meer (en dus geen ICMP).
Als je bepaalde parameters logged zoals temps, load, ICMP, bandwith, connections en dat soort dingen kan je later in de grafieken terugkijken van he als ik heel veel connections heb freezed/stopt ICMP met responden (of heel SNMP) of dit gebeurt juist met een hoge CPU load of temps.
Alleen met logging kun je deze correlaties maken en/of verder uitzoeken.

Als er echt wat mis is met de hardware kan dit natuurlijk lastig zijn maar hiervoor zijn er weer /var/log/ logs en/of misschien wel BIOS logs (bestaat dit in een NUC?).

[MikeVanD]

Ik ben bezig met snmp, maar krijg (nog) niks binnen, maar heb nog wat dingen die ik kan proberen.

De logging in het OS zal ik nog een keertje doornemen. Leverde de vorige keer niks op, maar wie weet.

Het is m.i. niet gerelateerd aan de load van de NUC, want het gebeurt ook 's nachts wanneer er veel minder verkeer is dan overdag. Ook wanneer ik vele TB's over de lijn (met VPN) haal, is geen garantie voor het vastlopen.

Ik zal het bios eens nakijken. Heb er geen logging in ontdekt, maar ook nooit naar gezocht.

[Kabouterplop01]

Heb je deze al eens bekeken?
Wellicht net zo zuinig als je NUC en mogelijk antwoord op je requirements:

https://eu.protectli.com/product-comparison/


Je kunt uiteraard de logs bekijken maar als het systeem crasht dan heb je daar geen log van.
De enige optie waar je dan iets aan zou kunnen hebben is de laatste logregel van vlak voor de crash.

[Jan-man]

Meeste issues die ik heb ervaren waren gerelateerd aan geheugen of brakke ssd. Zijn sinds tijdje gewoon over naar netgates eigen hardware en daar zoveel minder issues mee.